1. Kaiserblog
  2. Blog
  3. Terrapin hardening

SSH Terrapin Hardening

SSH ist mit einer Man-in-the-middle Attacke angreifbar. Neben patches sollte man auch chacha20-poly1305 abschalten
Hermann | 8. Januar 2024

Allgemein

Im gleichen Netzwerk kann SSH mit einer Man-in-middle Attacke angegriffen werden. Alle details zum Problem gibt es hier: terrapin-attack.com

Scanner

Es ist ein Scanner verfügbar: github/Terrapin-Scanner/releases

So kann es aussehn, wenn der Host angreifbar ist.
Scanner-Vulnerable

So ist nicht nur der Patch verfügbar auch die Cipher chacha20-poly1305 abgeschaltet.
Scanner-ok

Mitigation

Man kann am SSH Client und Server (openssh) einstellen, welche ciphers genutzt werden sollen. Es ist auch möglich Ciphers zu deaktivieren ohne die eigentliche Config vom SSH Server anzupassen. Dazu wird im Config Verzeichnis eine neue Datei erstellt. Hier werden die geblockten Ciphers eingetragen. Die erste Cipher muss mit einem ‘-’ beginnen. Den Tipp dazu habe ich von hier: stackoverflow - SSH: How to disable weak ciphers?

sudo bash -c "echo 'Ciphers -chacha20-poly1305@openssh.com'>/etc/ssh/ssh_config.d/blocked_ciphers.conf"
sudo ln -s /etc/ssh/ssh_config.d/blocked_ciphers.conf /etc/ssh/sshd_config.d/blocked_ciphers.conf
sudo systemctl restart sshd